QAテスターはサイバーセキュリティに転職できるか?

QAテスターは実は自分たちが想像する以上に攻撃者のように考えています。ソフトウェアを壊す、エッジケースを見つける、正確な再現手順を書く、欠陥を根本原因まで追跡するといった行動は、セキュリティチームが必要とする本質的な姿勢と同じです。QAからセキュリティへの転職は、例えば会計からの転職ほどは大きなジャンプではありませんが、特定のギャップを埋める必要があります。

既に応用できるもの

QAで時間を費やしてきたなら、既に以下を持っています:

• テストケース設計スキル は、セキュリティテストプランとアビューズケースの作成に直結します
• SDLCとCI/CDの理解 により、セキュリティチェック(SAST、DAST、依存関係スキャン)をどこに挿入するかが分かります
• Jiraのようなツールでのバグ追跡の規律 は、脆弱性管理ワークフローとほぼ同じです
• リグレッションテストの習慣 は、報告された脆弱性の修正検証に活かせます
• PostmanやSelenium、Cypressを使ったAPIとUIテストの経験 は、AppSecテスターがインジェクション、認証破壊、ロジック欠陥をプローブする方法と大きく重なります

探索的テストや負のテスト(意図的に不正な入力を送る、境界条件をテストする、バリデーションロジックを破ろうとする)をしたことがあるなら、既にセキュリティテストの初歩形を、ラベルなしで行っていたのです。

埋めるべきギャップ

QAテストは一般に「アプリケーションがある特定の方法で機能すること」を前提とし、機能的正確性をチェックします。セキュリティテストはその論理を積極的に破壊しようとする敵対者を前提とします。以下を構築する必要があります:

• HTTP基礎をより深いレベルで理解する — ステータスコード、ヘッダー、Cookie、CORS、セッションが内部でどう機能するか
• OWASP Top 10を完全に習得する: SQL injection、XSS、SSRF、broken access control、insecure deserialization
• 基本的なネットワーク知識: TCP/IP、DNS、TLSハンドシェイク、Burp Suiteのようなプロキシがどのようにトラフィックを横取りして操作するか
• スクリプト言語 できればPythonかBashで、反復的なテストを自動化し、小さなexploit PoC を書けるようになる
• Linuxコマンドラインへの慣れ というのは、ほとんどのセキュリティツールがターミナルを使うことを前提としているためです

具体的な学習パス

PortSwiggerのWeb Security Academy から始めてください — 無料で、OWASP の全カテゴリをBurp Suiteを使ったハンズオンラボで解説しています。これを TryHackMe の